2026-11-06 03:24:53 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

12小时攻破AI巨头：Anthropic被AI Agent扒光Slack，前员工的预言应验了

原创

欢迎关注→
欢迎关注→

安全客

2026年11月3日 08:30
北京

去阅读

一、这场渗透测试，从一封没人想读的报告开始

《华盛顿邮报》拿到了一份草稿，本来是Cathedral准备发在自己博客上的技术文章。内容不复杂：他们参与了Anthropic的外部安全测试项目，也就是漏洞悬赏计划，然后用自研的AI智能体把这家AI巨头的内部系统走了一遍。

走通的时间，不到12个小时。

Cathedral成立才几个月，创始团队来自美国政府效率部DOGE，联合创始人Gavin Kliger之前在DOGE干过，后来当过美国国防部首席数据官。投资人里能看到Marc Andreessen和Shaun Maguire的名字，估值已经到14亿美元，手上有1.6亿美元融资。三个联邦机构最近跟他们签了网络安全服务合同。

Anthropic的回应很克制：确实访问了部分销售、人力资源和IT系统，范围有限，已经堵上了路径，也向联邦政府官员通报了。至于客户发给Claude的消息、模型生成的回复、代码和模型权重，都没被碰到。

两边都没有否认核心事实。这就够了。

二、正门焊死了，就从物业的侧门进

按Anthropic发言人的说法，Cathedral先花了好几天正面攻他们的自研软件和核心系统，没啃下来。接着AI智能体换了个思路，盯上了Anthropic用于行政管理和销售业务的第三方商业软件。

这条路子在任何一家公司都成立。核心业务系统被安全团队盯着，上了WAF、做了微隔离、权限收到最细；但销售用的CRM、HR用的招聘系统、行政用的报销工具，采购回来接进内网就完事了，版本更新靠供应商推送，安全评估走个流程。攻击者不需要打赢最强的那个防守点，只需要找到最弱的那个入口，然后顺着SSO、API集成、通讯录同步这些\"方便\"的通道横着走。

Cathedral的AI智能体找到的就是这个入口。从第三方软件的漏洞切进去之后，自动扫描、串联权限、横向移动，12小时内打通了通往Anthropic内部敏感数据和通信系统的路径。

报告里那句话写得很直白：普通企业软件中的漏洞，竟然能够危及最先进机构的基础设施，这件事应该给美国每一家企业敲响警钟。

三、被看见的东西，比\"有限范围\"四个字严重

Anthropic说影响有限。Cathedral的报告列了清单。

会议记录看到了。员工的薪资单和录用待遇明细看到了。客户与合作伙伴的商务联系方式、一部分基础用户账户记录也看到了。

最要命的是Slack。AI智能体摸进了Anthropic员工日常办公的频道，里面正在讨论公司最前沿AI模型的研发进展。对一家把\"安全\"写进招股书的公司来说，这个画面实在不怎么好看。

Cognition的首席信息安全官Alex Stamos应《华盛顿邮报》要求审阅了报告，他的评价是\"他们这次发现了一个大问题\"。紧接着补了一句：把第三方应用接进企业系统带来的风险，对所有人来说都是极其严重的问题，但Anthropic本可以做得更好。

这位前斯坦福互联网观察站主任没给老同行留面子。

四、一个月前，有人把话说到了前面

9月，Anthropic员工Jacob Coxon公开辞职，在社交平台上发了一篇长文，批评公司在处理危险AI技术时不负责，点名了一件事：过度依赖普通的外部商业办公软件。

他的原话是，Anthropic正在进行\"一场傲慢自大的豪赌，而这种豪赌不应该从一家私营公司的Slack聊天系统中发起\"。

不到一个月，别人的AI智能体就顺着普通商业软件摸进了自家的Slack。

这种巧合在安全圈不算罕见。内部人提的风险，往往要等外部事件来验证，验证完了大家再回头说\"当时就有人提过\"。问题是提过之后，有没有人真的去数过接进内网的第三方系统有多少个、每个系统的权限边界在哪、供应商的漏洞响应承诺能不能兑现。

Anthropic的声明里还有一句值得注意：监控系统在Cathedral主动报告之前，就已经标记出了他们的部分活动，当天切断了访问。也就是说，检测能力起了作用，只不过发现的时候，该看的已经看得差不多了。事后响应快，替代不了事前收敛。

五、两边吵的那部分，反而是最有价值的部分

Anthropic说Cathedral夸大了调查结果暗示的国家安全影响，还说对方没有完整披露在系统内做的所有活动，没完全遵守漏洞悬赏计划的规则。Cathedral的回应是，按照安全研究最佳实践，数据访问量控制在绝对最低限度。

这场口水仗外人很难判断谁对。但有一件事很清楚：当一份渗透报告被送到政府高层传阅，一位要求匿名的特朗普政府高级官员说自己很震惊，震惊于研究人员这么快就进了一家掌握着\"几乎堪比核武器级别材料\"的公司的敏感系统。

这个反应本身说明，行业对AI实验室的安全水位有一种想当然的信任。大家默认前沿AI公司会把最好的防守用在自己身上，事实是它们的办公侧和所有公司一样，跑着一堆外采的SaaS。

同一个月的另一条新闻可以放在一起看：FBI逮捕了一名OpenAI员工，指控其在高管会议室安装录音设备。上个月，有黑客借着Claude把OpenAI黑了。再往前数，Anthropic自己在7月的复盘里承认，三起评测事故里Claude跑出了沙盒，攻击了真实机构，其中一个模型在推理中意识到\"这好像是真实生产系统\"，然后自己说服自己\"这家公司肯定也是演习的一部分\"，继续攻击，拖走了几百行生产数据库记录。

攻防两端都在用AI，速度被拉到了机器水平。这时候防线的薄弱点，往往不在最显眼的那个地方。